Zwei erst kürzlich von der Europäischen Kommission erlassene Verordnungen, nämlich die Delegierte VO (EU) 2022/1645 sowie die DVO (EU) 2023/203 haben den Anwendungsbereich der bisher zur Cybersicherheit im Luftverkehr ergangenen Regelungen nochmals verbreitert. Sie dienen beide der Umsetzung der EASA-Basicregulation VO (EU) 2028/1139 und stellen Regeln zur Informationssicherheit in der Luftfahrt auf.
Anwendungsbereich Del.VO (EU) 2022/1645
Danach müssen die betroffenen Akteure in ihren Managementsystemen Sicherheitsrisiken berücksichtigen, die sich aus Bedrohungen der Informationssicherheit ergeben. Sie gilt für:
- Herstellungsorganisationen
- Entwicklungsorganisationen, mit Ausnahme von Entwicklungs- und Herstellungsorganisationen, die ausschließlich an der Entwicklung und/oder Herstellung von ELA2 Luftfahrzeugen im Sinne des Artikels 1 Absatz 2 Buchstabe j beteiligt sind
- Flugplatzbetreiber
- Anbieter von Vorfeldkontrolldiensten, die Anhang III „Teil Organisatorische Anforderungen (Teil-ADR.OR)“ der VO (EU) 139/2014 unterliegen, sie haben für die Luftfahrtunternehmen oder Transporteure nur mittelbare Auswirkungen.
Durch Artikel 6 und 7 der VO (EU) 2022/1645 wird die VO (EU) 748/2012 dahin geändert, dass Herstellungs- und Entwicklungsorganisationen sowie Flugplatzbetreiber neben dem dort vorgeschriebenen Produktionsmanagementsystem auch ein Informationssicherheitmanagementsystem einrichten und pflegen müssen, das ein ordnungsgemäßes Management der Informationssicherheitsrisiken gewährleisten soll, die sich auf die Flugsicherheit auswirken können. Einzelheiten dazu ergeben sich aus dem Anhang Teil-IS.D.OR.
Anwendungsbereich DVO (EU) 2023/203
In dieser DVO werden die Anforderungen festgelegt im Hinblick auf die Identifizierung und das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit. Sie betreffen die für Zwecke der Zivilluftfahrt eingesetzten Systeme und Daten der Informations- und Kommunikationstechnik, deren Erkennung und Identifizierung sowie der Reaktion auf solche Störungen der Informationssicherheit und ihre Wiederherstellung.
Sie gilt für:
- Instandhaltungsorganisationen und Organisationen zur Führung der Aufrechterhaltung der Lufttüchtigkeit (CAMO; ausgenommen sind nur Organisationen, die ausschließlich mit der Instandhaltung bzw. der Führung der Aufrecht-erhaltung der Lufttüchtigkeit von Luftfahrzeugen nach Anhang Vb (Teil-ML) der VO (EU) Nr. 1321/2014 befasst sind)
- Luftfahrtunternehmen nach Anhang III (Teil-ORO) der VO (EU) Nr. 965/2012
- zugel. Ausbildungsorganisationen
- Betreiber von Flugsimulationsübungsgeräten (FSTD) nach Anhang VII (Teil-ORA) der VO (EU) Nr. 1178/2011
- Fluginformationsdienste, deren Ausbildungsorganisationen und medizinische Zentren
- Anbieter von U-Space-Diensten und einzige Anbieter gemeinsamer Informationsdienste nach der DVO (EU) 2021/664
- für die zugehörigen, nach nationalem Recht zuständigen Behörden.
Betroffene Unternehmen
Für welche Luftfahrtunternehmen die neue DVO (EU) 2023/203 gilt, bestimmt sich nach Art. 5 Abs. 1, Art. 2 Nr. 1 der VO (EU) 965/2012 (konsolidierte Fassung), das betrifft Betreiber von Luft-fahrzeugen für die Zwecke des gewerblichen Luftverkehrsbetriebs („CAT-Betrieb“), die gemäß den Bestimmungen der Anhänge III und IV betrieben werden müssen (Art. 5 Abs. 1).
Als Gewerblicher Luftverkehrsbetrieb (Commercial Air Transport Operation, CAT Operation) wird nach Art. 2 Nr. 1 d der Betrieb von Luftfahrzeugen bezeichnet, der gegen Entgelt oder sonstige geldwerte Leistungen, der der Öffentlichkeit zur Verfügung steht oder der, wenn er nicht der Öffentlichkeit zur Verfügung steht, im Rahmen eines Vertrags zwischen einem Betreiber und einem Kunden erbracht wird, wobei der Kunde keine Kontrolle über den Betreiber ausübt.
In Art. 2 Nr. 6 der konsolid. Fassung werden auch Lufttaxi-Flüge (Nichtlinienflüge im gewerblichen Luftverkehr, die auf Nachfrage mit einem Flugzeug mit einer höchstzulässigen betrieblichen Fluggastsitzanzahl (MOPSC) von 19 Sitzen oder weniger durchgeführt werden, genannt. Und in Art. 4 a der konsolid. Fassung werden die Fälle von Flugdienstleistungen definiert, die mit anderen als technisch komplizierten motorgetriebenen Flugzeugen und Hubschraubern durchgeführt werden und als nicht-gewerblich zu be-werten sind. Da diese – abweichend von Artikel 5 Absätze 1 und 6 – gemäß Anhang VII durchgeführt werden dürfen, fallen sie schon von vornherein nicht unter die Anforderungen der DVO (EU) 2023/203.
Kurz zusammengefasst handelt es sich bei den Ausnahmen um Flüge, die überwiegend zu flugsportlichen Zwecken durchgeführt werden, auch wenn sie entgeltlich sind. Ein gewerblicher Luftverkehrsbetrieb mit der Folge, dass das Luftfahrtunternehmen nach Anhang III der VO (EU) 965/2012 betrieben werden muss, liegt also insbesondere vor, wenn eine entgeltliche Beförderungsleistung „öffentlich“ zur Verfügung gestellt wird, d.h. wenn die Beförderungsleistugen einem unbestimmten Personenkreis über allgemein zugängliche Wege zur Verfügung gestellt werden und jede Person, die sich auf diesem Weg als Interessent meldet, prinzipiell Zugang zu der Beförderungsleistung hat.
Gleichfalls erfasst wird der Fall, dass eine Beförderungsleistung nur einem begrenzten Personenkreis zugänglich gemacht wird. Ausgenommen sind reine Gebrauchsüberlassungen oder der Fall, dass der Kunde aufgrund einer vertraglichen Regelung die Kontrolle über den Betreiber des Flugzeugs aus-übt, das gilt bspw. im Fall des Werksverkehrs.
Erfasst wird deshalb auch die Vercharterung und der Anbieter von Anteilen am Eigentum an einem Flugzeug, wenn damit zugleich eine entgeltliche Beförderungsleistung angeboten wird. Denn eine Kontrolle über den Betreiber findet nur statt, wenn unmittelbar oder mittelbar ein bestimmender Einfluss auf ein Unternehmen ausgeübt wird, die Nutzungsmöglichkeit also vertraglich so gestaltet ist, dass der Kunde einen bestimmenden Einfluss auf den Betreiber hat und nicht nur auf die Gestaltung seiner Nutzung oder seines Nutzungsanteils.
Entscheidend in solchen Fällen ist letztlich, ob die Beförderungsleistung dem Vercharterer oder dem Charterer zurechenbar ist, also durch diesen selbst erbracht wird, was sich aus der vertraglichen Gestaltung ergibt. >>
Den ganzen Artikel finden Sie im hier verlinkten PDF